port scan

使い方は簡単。調べたいホストを指定するだけだ。こういう風に既知な観測点に初めて望遠鏡を向けて観測する事を、ファーストライトって言うらしい。天文学の本を読んでたら出てきた。

ob$ nmap localhost
Starting Nmap 7.80 ( https://nmap.org ) at 2020-06-27 13:56 JST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00038s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 997 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
80/tcp  open  http
443/tcp open  https

Nmap done: 1 IP address (1 host up) scanned in 18.16 seconds

ふむ、ssh,http,httpsのサービスが動いているとな。

もう少し詳しく調べたい時は、オプションを与える

ob$ nmap -An localhost
　:
Not shown: 997 closed ports
PORT    STATE SERVICE  VERSION
22/tcp  open  ssh      OpenSSH 8.3 (protocol 2.0)
80/tcp  open  http     OpenBSD httpd
|_http-title: Site doesn't have a title (text/html).
443/tcp open  ssl/http OpenBSD httpd
|_http-title: Site doesn't have a title (text/html).
| ssl-cert: Subject: commonName=ob.local.jp/organizationName=Yama/stateOrProvinc
eName=Tokyo/countryName=JP
| Not valid before: 2020-06-08T00:01:17
|_Not valid after:  2021-06-08T00:01:17
|_ssl-date: TLS randomness does not represent time

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 32.15 seconds

見つかったサービスに対して、ちょいとアクセスしてみて、バージョン番号とかの基本情報を取り出してくれている。

サービスはポートを通じて提供される。65000あまりのポートが有るんで、しらみつぶしに調べていたら時間がかかってしょうがない。そこで、よく光ってそうなポートだけを集中して調べる。そこ数はざっと1000個とな。

どんなポートを対象に調べているか？　tcpdumpでログし、炙り出してみた。

auth
bgp
ftp
ftp-data
8045
8080
8081
65129
65389

よく使われる通称名はそのままで、それ以外は番号でログしてた。

ob# tcpdump -i lo0 -w log
ob# tcpdump -r log | grep telnet
14:21:20.500266 localhost.43438 > localhost.telnet: S 3220890200:3220890200(0) win 16384 <mss 32728,nop,nop,sackOK,nop,wscale 6,nop,nop,timestamp 3373703531 0>(DF)
14:21:20.500319 localhost.telnet > localhost.43438: R 0:0(0) ack 3220890201 win0 (DF)

上記の調査には、こんなパケットログから拾い出したものを使った。

防災無線で、注意を喚起してた。不動産業者を語る人から、あなたに老人ホームへの特別入居資格が当選しました。契約金が必要ですので、速やかに入金くださいですってさ。入居難だから、つい騙されちゃう人が居るんだろうね。それにしてもネタが尽きないねぇ。

オイラーもネタを思い付いたぞ。port 443 で開いているhttpsなサーバーを、telnetなポートで開いたら、どうなる？

ob$ nmap localhost
  :
PORT   STATE SERVICE
22/tcp open  ssh
23/tcp open  telnet
80/tcp open  http

簡単な観測だと、コロリと騙されましたねぇ。急いでいると騙されちゃう訳だ。

ob$ nmap -An localhost
  :
PORT   STATE SERVICE  VERSION
22/tcp open  ssh      OpenSSH 8.3 (protocol 2.0)
23/tcp open  ssl/http OpenBSD httpd
|_http-title: Site doesn't have a title (text/html).
| ssl-cert: Subject: commonName=ob.local.jp/organizationName=Yama/stateOrProvinc
eName=Tokyo/countryName=JP
| Not valid before: 2020-06-08T00:01:17
|_Not valid after:  2021-06-08T00:01:17
|_ssl-date: TLS randomness does not represent time
80/tcp open  http     OpenBSD httpd
|_http-title: Site doesn't have a title (text/html).

こちらは精密観測した場合。httpsですとズバリな発言は無いけど、推定は当たっているね。httpsなんて言うよりも、むしろこちらの ssl/http って言い回しの方が的確だな。 年寄りも、冷静沈着に判断したいものだのう。

ob$ grep -c match nmap-service-probes
11868

nmapには、こんなに沢山の判定方法が用意されてる。これをポートが見つかる度にスキャンしてるのかなあ。

nmapのパッキングリストを見てたら、詳しくは　/usr/local/share/nmapって、配置表が載ってたぞ。早速現場へ急行します。

ob$ cd /usr/local/share/nmap/
ob$ ls
nmap-mac-prefixes          nmap-rpc                   nmap.xsl
nmap-os-db                 nmap-service-probes        nse_main.lua
nmap-payloads              nmap-services              nselib/
nmap-protocols             nmap.dtd                   scripts/

美味しそうなものが並んでますなあ。幸いテキストファイルだ。どこかの馬鹿アプリみたいにUnixの禁を破っていないのは有り難い事です。簡単にgrepしてみると、注目すべきは、nmap-services*って判明しました。

どうやら、nmap-servicesは、/etc/servicesの拡張版。nmap-service-probesは、個々のサービスの詳細を調べる時に使うみたい。

nmap-servicesを開いてみると

# Derived from IANA data and our own research
#
# Fields in this file are: Service name, portnum/protocol, open-frequency, optional comments
#
tcpmux  1/tcp   0.001995        # TCP Port Service Multiplexer [rfc-1078] | TCP Port Service Multiplexer
  :
ssh     22/tcp  0.182286        # Secure Shell Login

IANAって言う国際機関が定義したものと、足で集めたデータを合体させたサービスリストって事ですな。特徴的なのは、どの程度のサーバーでサービスしてるかって統計データが付いている事。こういうデータは有ると、ベストテンを見たいじゃないですか（ああ、つくづく日本人だなあ！）。

b$ cat nmap-services | awk '{print $3,$2,$1}' | sort -nr | head
0.484143 80/tcp http
0.450281 631/udp ipp
0.433467 161/udp snmp
0.365163 137/udp netbios-ns
0.330879 123/udp ntp
0.297830 138/udp netbios-dgm
0.293184 1434/udp ms-sql-m
0.253118 445/udp microsoft-ds
0.244452 135/udp msrpc
0.228010 67/udp dhcps

Webサービスは２台に１台の割合で稼働してますって事だな。後はudpな地味なサービスが幅を利かせている。tcpだけに絞ったらどうなるかな？

ob$ cat nmap-services | awk '{print $3,$2,$1}' | grep /tcp | sort -nr | head
0.484143 80/tcp http
0.221265 23/tcp telnet
0.208669 443/tcp https
0.197667 21/tcp ftp
0.182286 22/tcp ssh
0.131314 25/tcp smtp
0.083904 3389/tcp ms-wbt-server
0.077142 110/tcp pop3
0.056944 445/tcp microsoft-ds
0.050809 139/tcp netbios-ssn

telnetが健在っていつのデータなんだろう？　ftpもpop3もそのまま使うんじゃセキュリティー敵にやばいよね。

本題に戻って、9000って何よ？ Port 9000（ポート9000） こんなのも公開されてた。番号が決まれば、サービスも決まるってのは実世界を知らないエンジニアって事だね。確かに、80番ポートでsshdが待ち受けていても、それはカラスの勝手でしょな訳だ。

だから、nmapはポート番号詐欺に遭わないように、用心してプローブに定義されてる方法でポートの先で動いてるサービスを独自に確認してるとな。

ob$ grep 'match http' nmap-service-probes | grep openbsd
match http m|^HTTP/1\.0 [345]\d\d (?:[^\r\n]*\r\n(?!\r\n))*?Date: [^\r\n]*\r\nSe
rver: [^\r\n]*\r\nConnection: close\r\nContent-Type: text/html\r\nContent-Length
: \d+\r\n.*\r\n<!DOCTYPE html>\n<html>\n<head>\n<title>[^<]*</title>\n<style typ
e="text/css"><!--\nbody \{ background-color: white; color: black; font-family: '
Comic Sans MS', 'Chalkboard SE', 'Comic Neue', sans-serif; \}|s p/OpenBSD httpd/
 cpe:/a:openbsd:httpd/
match http m|^HTTP/1\.0 [345]\d\d (?:[^\r\n]*\r\n(?!\r\n))*?Date: [^\r\n]*\r\nSe
rver: [^\r\n]*\r\nConnection: close\r\nContent-Type: text/html\r\nContent-Length
: \d+\r\n.*\r\n<!DOCTYPE html>\n<html>\n<head>\n<meta http-equiv="Content-Type"
content="text/html; charset=utf-8"/>\n<title>[^<]*</title>\n<style type="text/cs
s"><!--\nbody \{ background-color: white; color: black; font-family: 'Comic Sans
 MS', 'Chalkboard SE', 'Comic Neue', sans-serif; \}|s p/OpenBSD httpd/ cpe:/a:op
enbsd:httpd/
match http m|^HTTP/1.1 [126-9]\d\d (?:[^\r\n]*\r\n(?!\r\n))*?Server: OpenBSD htt
pd\r\n|s p/OpenBSD httpd/ cpe:/a:openbsd:httpd/

80番がhttpなら、こんな山程有る正規表現のどれかに引っかかるはず。これで色々な情報を取り出しているとな。苦労の賜物ですね。

この他、パケットの特徴を抽出してOSを推測するとか、UDPの荷物室の内容を見てプロトコルを推測する方法等、興味深いテクニックが詰まっている。